CentOS SFTP故障如何排查

CentOS SFTP故障排查步骤

1. 检查SSH服务状态

SFTP基于SSH协议运行，需确保SSH服务已启动并正常运行。
操作命令：

sudo systemctl status sshd

预期结果：显示“active (running)”。若未运行，启动服务并设置开机自启：

sudo systemctl start sshd
sudo systemctl enable sshd

2. 验证SFTP配置文件正确性

SFTP的核心配置在/etc/ssh/sshd_config中，需检查以下关键项：

• Subsystem配置：确保SFTP子系统路径正确（默认使用internal-sftp或/usr/libexec/openssh/sftp-server）。

  Subsystem sftp internal-sftp  # 推荐使用内置sftp，无需额外安装
  

• 用户/组限制（可选）：若需限制特定用户或组使用SFTP，需正确配置Match指令。例如，限制用户sftpuser只能使用SFTP并chroot到/data/sftp/%u：

  Match User sftpuser
      ChrootDirectory /data/sftp/%u
      ForceCommand internal-sftp
      AllowTcpForwarding no
      X11Forwarding no
  

操作命令：

• 测试配置文件语法（避免重启失败）：

  sudo sshd -t
  

• 重启SSH服务使配置生效：

  sudo systemctl restart sshd
  

3. 检查防火墙设置

CentOS默认使用firewalld，需确保放行SSH（默认端口22）流量。
操作命令：

• 查看防火墙状态：

  sudo systemctl status firewalld
  

• 放行SSH端口（若未放行）：

  sudo firewall-cmd --permanent --add-service=ssh
  sudo firewall-cmd --reload
  

• 若使用iptables，需添加规则：

  sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
  sudo service iptables save
  

4. 查看系统日志定位具体错误

日志是排查SFTP问题的关键，可通过以下命令查看实时或历史日志：

sudo tail -f /var/log/secure  # CentOS 7/8
# 或
sudo journalctl -u sshd -f    # 实时查看ssh服务日志

常见日志错误及解决方向：

• “Permission denied”：用户权限或目录权限问题（见步骤6）。
• “Invalid configuration option”：配置文件语法错误（见步骤2）。
• “Cannot bind to port 22”：端口被占用（见步骤5）。

5. 检查网络与端口连通性

确保客户端与服务器之间的网络畅通，且SSH端口（默认22）未被阻塞。
操作命令：

• 测试网络连通性：

  ping <服务器IP>
  

• 测试端口开放情况：

  telnet <服务器IP> 22
  # 或使用nc（更现代的工具）
  nc -zv <服务器IP> 22
  

若端口不通：需检查服务器防火墙、路由器ACL或云服务商安全组规则。

6. 验证用户权限与目录配置

• 家目录权限：SFTP用户的家目录需归root所有，权限设为755（防止用户越权修改目录结构）。

  sudo chown root:root /home/<用户名>
  sudo chmod 755 /home/<用户名>
  

• Chroot目录权限（若配置了chroot）：chroot目录（如/data/sftp/<用户名>）需归root所有，权限设为755，且用户不能有写权限（避免逃逸chroot）。

  sudo mkdir -p /data/sftp/<用户名>
  sudo chown root:root /data/sftp/<用户名>
  sudo chmod 755 /data/sftp/<用户名>
  

• 用户目录权限：用户在自己的chroot目录下需有写权限（如/data/sftp/<用户名>/upload），用于上传文件。

  sudo mkdir -p /data/sftp/<用户名>/upload
  sudo chown <用户名>:<用户名> /data/sftp/<用户名>/upload
  sudo chmod 755 /data/sftp/<用户名>/upload
  

7. 检查SELinux策略（若启用）

SELinux可能限制SFTP访问，需调整相关策略。
操作命令：

• 查看SELinux状态：

  sudo sestatus
  

• 若处于Enforcing模式，临时设置为Permissive测试是否解决问题：

  sudo setenforce 0
  

• 若问题解决，可永久修改SELinux策略或调整布尔值：

  sudo sed -i 's/SELINUX=enforcing/SELINUX=permissive/g' /etc/selinux/config
  # 或允许SFTP访问用户主目录
  sudo setsebool -P sftp_home_dir on
  

8. 检查连接数与资源限制

• 连接数限制：查看/etc/ssh/sshd_config中的MaxStartups（默认10:30:100，表示最多允许10个并发未认证连接，超过30%时开始拒绝）。若需增加，修改为：

  MaxStartups 10000
  

  重启SSH服务生效。
• 系统资源：使用top命令查看CPU、内存使用率，若资源耗尽，需优化服务器性能或扩容。

9. 测试SFTP连接

使用客户端（如FileZilla、WinSCP）或命令行测试连接：

sftp <用户名>@<服务器IP>

输入密码后，若能进入SFTP命令行（如sftp>），则表示连接成功。可尝试上传/下载文件验证功能。

通过以上步骤逐步排查，可定位并解决大部分CentOS SFTP故障。若问题仍未解决，建议根据日志中的具体错误信息进一步分析。